Plateforme
windows
Composant
craftos2
Corrigé dans
2.8.4
La vulnérabilité CVE-2024-43395 affecte CraftOS-PC 2, un portage de ComputerCraft pour Windows. Elle permet à un utilisateur malveillant d'échapper au dossier de l'application et d'accéder à des fichiers sur le système sans autorisation, en manipulant les séquences '..'. Cette faille est présente dans les versions antérieures à 2.8.3 et a été corrigée dans cette dernière version.
Cette vulnérabilité de traversal de répertoire permet à un attaquant d'accéder à des fichiers sensibles situés en dehors du dossier d'installation de CraftOS-PC 2. L'attaquant peut potentiellement lire des données confidentielles, modifier des fichiers système, ou même exécuter du code malveillant s'il trouve des fichiers exécutables accessibles. Le risque est particulièrement élevé si CraftOS-PC 2 est utilisé dans un environnement où des informations sensibles sont stockées sur le système, comme des mots de passe, des clés de chiffrement ou des données personnelles. Bien que l'exploitation nécessite une certaine connaissance de la manipulation de chaînes de caractères, la simplicité de la technique rend la vulnérabilité relativement facile à exploiter.
Cette vulnérabilité a été rendue publique le 16 août 2024. Il n'y a pas d'indications d'une exploitation active à ce jour, ni d'ajout au catalogue KEV de CISA. Des preuves de concept publiques sont disponibles, ce qui pourrait augmenter le risque d'exploitation future. La simplicité de l'exploitation rend cette vulnérabilité potentiellement attractive pour des attaquants.
Users of CraftOS-PC 2 on Windows systems are at risk, particularly those who have not yet upgraded to version 2.8.3. Shared hosting environments where CraftOS-PC 2 is deployed could be particularly vulnerable, as a compromise of one instance could potentially lead to the compromise of others.
• windows / supply-chain:
Get-Process | Where-Object {$_.ProcessName -like '*CraftOS-PC*'} | Select-Object Path, CommandLine• windows / supply-chain:
Get-ScheduledTask | Where-Object {$_.TaskName -like '*CraftOS-PC*'} | Select-Object Action• windows / supply-chain: Check Autoruns for entries related to CraftOS-PC that might indicate malicious modifications.
disclosure
Statut de l'Exploit
EPSS
0.03% (percentile 10%)
CISA SSVC
Vecteur CVSS
La mitigation principale consiste à mettre à jour CraftOS-PC 2 vers la version 2.8.3 ou ultérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, une solution temporaire consiste à restreindre les permissions d'accès au dossier d'installation de CraftOS-PC 2, empêchant ainsi l'accès aux fichiers en dehors de ce dossier. Il est également recommandé de surveiller les journaux d'événements du système pour détecter toute tentative d'accès non autorisé aux fichiers. Des règles WAF (Web Application Firewall) peuvent être configurées pour bloquer les requêtes contenant des séquences '..' suspectes.
Actualice CraftOS-PC a la versión 2.8.3 o superior. Esta versión contiene una corrección para la vulnerabilidad de escape del sistema de archivos. Descargue la última versión desde el sitio web oficial o desde el repositorio de GitHub.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2024-43395 is a directory traversal vulnerability affecting CraftOS-PC 2 on Windows, allowing attackers to access files without permission by manipulating directory paths.
You are affected if you are using CraftOS-PC 2 on Windows with a version equal to or less than 2.8.2.
Upgrade CraftOS-PC 2 to version 2.8.3 or later to patch the vulnerability. Consider stricter file access controls as an interim measure.
There is currently no indication of active exploitation campaigns, but the vulnerability's simplicity suggests potential for future exploitation.
Refer to the CraftOS-PC project's official website or GitHub repository for the latest advisory and release notes.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.